# Datenschutz in der IT: technische Maßnahmen, Verträge, Löschkonzept und Nachweise > DSGVO praktisch umgesetzt: technische und organisatorische Maßnahmen, Auftragsverarbeitung, Verzeichnis, Löschkonzept, Protokolldaten, Drittlandtransfer und Umgang mit Datenpannen. URL: https://techport.ai/it-beratung/it-governance-und-recht/datenschutz-in-der-it --- 1. [IT-Beratung](/it-beratung)/ 2. [IT-Governance und Recht](/it-beratung/it-governance-und-recht)/ 3. Datenschutz technisch umsetzen [IT-Governance und Recht](/it-beratung/it-governance-und-recht) # Datenschutz technisch umsetzen Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am 21\. August 2026 Datenschutz wird in vielen Unternehmen als Papierthema behandelt: Es gibt ein Verzeichnis, Verträge und eine Datenschutzerklärung. Die technische Seite bleibt dahinter zurück, und genau dort entscheidet sich, ob die Umsetzung trägt. Ob Berechtigungen dem Grundsatz der Erforderlichkeit folgen, ob Löschfristen tatsächlich greifen, ob Protokolldaten begrenzt sind und ob Sie im Fall einer Datenpanne innerhalb von zweiundsiebzig Stunden wissen, was passiert ist. Wir übernehmen keine Rechtsberatung. Wir sorgen dafür, dass die Anforderungen Ihrer Datenschutzberatung technisch umgesetzt und nachweisbar sind. ## Woran Sie es merken * Das Verzeichnis der Verarbeitungstätigkeiten ist Jahre alt und bildet neue Systeme nicht ab. * Es gibt keine automatische Löschung, Daten bleiben unbegrenzt liegen. * Bei einer Auskunftsanfrage dauert das Zusammenstellen der Daten Wochen. * Neue Cloud-Dienste werden genutzt, ohne dass Verträge und Übermittlungsgrundlagen geprüft wurden. ## Warum das passiert Die dokumentarischen Pflichten sind sichtbar und werden deshalb erledigt. Die technische Umsetzung ist unsichtbar und teuer: Löschkonzepte erfordern Eingriffe in Systeme, Berechtigungskonzepte erfordern Abstimmung mit Fachbereichen, und Protokolldaten fallen automatisch an, ohne dass jemand sie bestellt hat. Solange nichts passiert, fällt die Lücke zwischen Papier und Technik nicht auf. Sie fällt auf bei einer Auskunftsanfrage, einer Beschwerde oder einem Vorfall, also genau dann, wenn Zeit fehlt. ## So gehen wir vor 1. **Verarbeitungen und Systeme abgleichen.** Wir gleichen das Verzeichnis der Verarbeitungstätigkeiten mit den tatsächlich eingesetzten Systemen und Diensten ab und ergänzen, was fehlt. Häufig sind das Werkzeuge aus den Fachbereichen und Funktionen, die mit einem Update dazukamen. 2. **Technische Maßnahmen umsetzen und beschreiben.** Wir setzen die Maßnahmen nach Artikel 32 DSGVO um und beschreiben sie so, dass sie prüfbar sind: Zugriffskontrolle, Verschlüsselung, Trennung, Protokollierung, Wiederherstellbarkeit und regelmäßige Überprüfung. 3. **Löschen ermöglichen.** Wir erstellen ein Löschkonzept, das Fristen je Datenart festlegt und den Konflikt mit Aufbewahrungspflichten auflöst, und setzen es dort technisch um, wo die Datenmenge es rechtfertigt. Dazu gehören Sicherungen, Archive und Protokolldaten. 4. **Vorfälle vorbereiten.** Wir richten ein Verfahren für Datenpannen ein, mit Erkennung, Bewertung, Meldung innerhalb der Frist und Dokumentation. Der häufigste Fehler ist nicht die Panne, sondern die verspätete Erkennung. ## Was Sie davon haben * Eine Umsetzung, die im Prüfungsfall belegbar ist statt nur behauptet. * Auskunfts- und Löschanfragen, die in Tagen statt in Wochen bearbeitet werden. * Weniger Risiko durch Systeme, die niemand geprüft hat. ## Aus unseren Projekten Protokolldaten sind der am häufigsten übersehene Bereich. Systeme protokollieren Anmeldungen, Zugriffe und Änderungen, oft über Jahre, und niemand hat je eine Löschfrist festgelegt. Diese Daten sind personenbezogen, sie sind auswertbar, und im Zweifel sind sie mitbestimmungspflichtig. Wir prüfen sie deshalb früh und legen Fristen fest. Der zweite regelmäßige Befund betrifft Testumgebungen: In vielen Häusern enthalten sie eine Kopie der Produktivdaten, mit weiteren Berechtigungen und schwächerem Schutz. Das ist einer der einfachsten Wege zu einem meldepflichtigen Vorfall und mit Anonymisierung oder synthetischen Daten vermeidbar. ## Gut zu wissen Zentral sind vier Punkte. Artikel 30 DSGVO verlangt das Verzeichnis der Verarbeitungstätigkeiten, das aktuell zu halten ist. Artikel 32 verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, einschließlich eines Verfahrens zur regelmäßigen Überprüfung ihrer Wirksamkeit. Artikel 28 verlangt für jeden Dienstleister, der personenbezogene Daten für Sie verarbeitet, einen Vertrag zur Auftragsverarbeitung. Artikel 35 verlangt eine Datenschutz-Folgenabschätzung bei Verarbeitungen mit voraussichtlich hohem Risiko, was bei umfassenden Systemen zur Überwachung, bei biometrischen Verfahren und bei bestimmten KI-Anwendungen in Betracht kommt. Für Beschäftigtendaten ist die Rechtsgrundlage seit der Entscheidung des Europäischen Gerichtshofs zu einer § 26 BDSG entsprechenden Landesregelung sorgfältig zu prüfen. ## Häufige Fragen Dürfen wir US-Anbieter nutzen? Ja, wenn eine tragfähige Grundlage für die Übermittlung vorliegt und die Risiken bewertet sind. Prüfen Sie im Einzelfall die Zertifizierung des Anbieters unter dem geltenden Angemessenheitsbeschluss, die vertraglichen Zusagen und die Frage, welche Daten tatsächlich übermittelt werden. Diese Prüfung gehört dokumentiert, weil sie im Zweifel verlangt wird. Die rechtliche Bewertung im Einzelfall gehört zu Ihrer Datenschutzberatung. Wie gehen wir mit einer Datenpanne um? Erkennen, bewerten, melden, dokumentieren. Die Meldung an die Aufsichtsbehörde muss unverzüglich und möglichst binnen zweiundsiebzig Stunden nach Bekanntwerden erfolgen, wenn ein Risiko für die Betroffenen besteht. Entscheidend ist, dass das Verfahren vorher steht: wer bewertet, wer meldet, welche Informationen gebraucht werden. Diese Fragen im Ernstfall zu klären kostet genau die Zeit, die die Frist vorgibt. ## Sprechen wir über Datenschutz technisch umsetzen Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind. [Erstgespräch vereinbaren](/kontakt)[Unsere Beratung](/so-funktionierts) ## Weiterführend [Sicherheit und ResilienzIdentitäten und Zugriffe ordnenWer darf was und warum: Berechtigungskonzept aufbauen, Rollen statt Einzelrechte, Mehrfaktor-Anmeldung einführen, Ein- und Austritt automatisieren und Berechtigungen regelmäßig prüfen.](/it-beratung/sicherheit-und-resilienz/identitaeten-und-zugriffe)[IT-Governance und RechtIT-Pflichten im ÜberblickWelche IT-bezogenen Pflichten Ihr Unternehmen treffen, wer sie verantwortet, welche Nachweise nötig sind und wie Sie mit einer Pflichtenübersicht vorbereitet in jede Prüfung gehen.](/it-beratung/it-governance-und-recht/it-compliance)[Entwickeln und beschaffenSchatten-IT in geordnete Bahnen bringenWarum Fachbereiche eigene Werkzeuge kaufen, welche Risiken daraus entstehen und wie Sie Schatten-IT sichtbar machen, bewerten und in einen geordneten Weg überführen, ohne Fachbereiche zu bestrafen.](/it-beratung/entwickeln-und-beschaffen/schatten-it)[WissenIT-Regulatorik-RadarWas gilt, was kommt, was Sie jetzt tun sollten.](/it-beratung/regulatorik-radar)[WissenIT-GlossarBegriffe aus IT, Software und Sicherheit, kurz erklärt.](/it-beratung/glossar) Zurück zum Feld [IT-Governance und Recht](/it-beratung/it-governance-und-recht) ## Quellen * [Artikel 30 DSGVO, Verzeichnis von Verarbeitungstätigkeiten](https://www.dsgvo-gesetz.de/art-30-dsgvo/) * [Artikel 32 DSGVO, Sicherheit der Verarbeitung](https://www.dsgvo-gesetz.de/art-32-dsgvo/) * [Artikel 35 DSGVO, Datenschutz-Folgenabschätzung](https://www.dsgvo-gesetz.de/art-35-dsgvo/) * [Verordnung (EU) 2016/679 (DSGVO), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj) Rt Geschrieben von [Redaktion techport.ai](/ueber-uns), IT-Beratung Mehr als 15 Jahre Erfahrung in IT-Projekten des Mittelstands, Auswahl und Einführung von Unternehmenssoftware, Aufbau von IT-Betrieb und Informationssicherheit in wachsenden Organisationen. Diese Seite gibt den Stand zum angegebenen Datum wieder und ersetzt keine Rechtsberatung. Bei konkreten Fragen arbeiten wir mit Ihren Rechtsberatern zusammen. [Mehr über uns](/ueber-uns) Weiter im Angebot [ Software Individuelle Prozesssoftware für den Mittelstand. ](/loesungen)[ HR-Beratung Personalarbeit, Prozesse und Systeme. ](/hr-beratung)[ IT-Reifegrad-Check In zehn Minuten zur Standortbestimmung. ](/it-beratung/reifegrad-check)[ HR-Reifegrad-Check 24 Aussagen, Ergebnis je Themenfeld. ](/hr-beratung/reifegrad-check)[ Förderung BAFA-Zuschuss und über 50 Programme für die Umsetzung. ](/foerderung)[ Prozesse in der Praxis Wie aus Abläufen belastbare Software wird. ](/sop-praxis)[ Daten und KI Auswertungen, Prognosen und Assistenzsysteme. ](/daten-ki)[ Über uns Wer hinter techport.ai steht. ](/ueber-uns)